Amazon Linux 2023：libsoup、libsoup-devel (ALAS2023-2026-3154)
medium Nessus プラグイン ID 365254
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-3154 のアドバイザリに記載されている複数の脆弱性の影響を受けます。CVE-2026-0716(コミット 6ff7ef0、libsoup 3.6.6)の修正では、整数オーバーフローガードが if(マスク済み)ブロック内に配置され、マスクされていないサーバーからクライアントへのフレームが保護されないままになります。悪意のあるWebSocketサーバーは、max_incoming_payload_sizeが0に設定されている場合、ペイロードの長さがUINT64_MAXに近い細工されたマスクされていないフレームを送信し、libsoupベースのクライアントでOOB読み取りをトリガーする可能性があります。(CVE-2026-12478)
SoupAuthManager は、プロキシ認証情報のスコープをプロキシ機関(ホスト:ポート)に限定せずに、キャッシュします。プロキシ構成が変更されると(システム設定や WPAD などを介して)、以前のプロキシからキャッシュされた Proxy-Authorization ヘッダーが新しいプロキシに送信され、認証情報が漏洩します。
(CVE-2026-12547)
libsoup でヒープの領域外読み取りの欠陥が見つかりました。マルチパートのHTTPメッセージを解析するときに、呼び出し元と soup_headers_parse() の間の整数の型の不一致により、長さパラメーターが不適切に切り捨てられ、ヒープバッファオーバーリードを引き起こす可能性があります。リモートの攻撃者がこの欠陥を利用して、libsoup を使用するアプリケーションをクラッシュさせたり、ヒープメモリのコンテンツを漏洩させたりする可能性があります。(CVE-2026-12548)
CVE-2026-2443の修正は、特定のオーバーフローチェックを一般的な符号付き比較に置き換えた、後続の修正コミットによって回帰されました。クライアントがコンテンツサイズを超えるサフィックスの長さで Range リクエストを送信すると、結果として生じる負の開始値が適切にクランプされず、無効な形式の HTTP 206 応答およびログフラッディングにつながります。(CVE-2026-12549)
libsoup に欠陥が見つかりました。HTTPプロキシを介してCONNECTトンネルが確立された後、libsoupは、そのトンネルを介して宛先サーバーに送信される後続のHTTPSリクエストに、Proxy-Authorizationヘッダーを誤って添付します。これにより、宛先サーバーがプロキシの認証情報をキャプチャし、情報漏洩を引き起こす可能性があります。(CVE-2026-66339)
libsoup の SoupServer HTTP Range ヘッダー処理に欠陥が見つかりました。soup-message-headers.c の sort_ranges() コンパレータは、64 ビットの減算結果を 32 ビットの int に切り捨て、INT_MAX 以上異なる範囲オフセットの符号を反転します。これにより、約2GBを超えるリソースのHTTP 206 Partial Content応答からのリクエストされたバイト範囲の警告なしで省略されます。(CVE-2026-77014)
libsoup の HTTP Range ヘッダー処理にアルゴリズムの複雑性の欠陥が存在し、 CVE-2025-32907 修正後も継続します。
CVE-2025-32907 は、クライアントが単一の Range ヘッダーで同じ範囲を何度も繰り返す場合のメモリ増幅に対処しました。コミット 9bb92f7a により、libsoup/soup-message-headers.c の soup_message_headers_get_ranges_internal() のマージの正確性が修正されましたが、合体ループでは、合体した各要素に対して g_array_remove_index() を使用してマージされた範囲が引き続き削除されます。GArrayは連続しているため、各中間配列の削除はO(N)memmoveを実行します。多数の同一の充足できる範囲が提供されると(たとえば、bytes=0-0 が何千回も繰り返されます)、ループはそれらを 1 つの範囲に集約する O(N2) 作業を実行します。
脆弱なパスは、libsoup/server/http1/のhandle_partial_get()からサーバー側で到達できますsoup-server-message-io-http1.c SoupServer ハンドラーが空でない本文を含む HTTP 200 を返すとき。認証は必要ありません。範囲の数は、リクエストヘッダーの最大サイズ (~100 KiB) によってのみ制限され、リクエストごとに約 25,000 個の範囲が許可されます。CVE-2025-32907修正を含むlibsoup HEADのレポーター測定では、そのようなリクエストごとに~90ミリ秒のシングルコアCPUが最大ワイヤで表示され、その期間サーバーのイベントループがブロックされます。
これは、CPU の枯渇/可用性のみの問題です。メモリの破損や情報漏えいは発生しません。
影響を受ける: CVE-2025-32907 修正は含まれているが、リクエストはマージしていない libsoup バージョン !550.Fixed Upstream: MR !550 は 2026 年 8 月 20 日にマージされ、要素ごとの削除を O(N) インプレース圧縮に置き換え、200 を超える範囲をリクエストする Range ヘッダーを拒否します。Upstream による報告:
https://gitlab.gnome.org/GNOME/libsoup/-/issues/538Related: CVE-2025-32907 (CVE-2026-77680)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update libsoup --releasever 2023.12.20261012」または「dnf update --advisory ALAS2023-2026-3154 --releasever 2023.12.20261012」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3154.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-12478.html
https://explore.alas.aws.amazon.com/CVE-2026-12547.html
https://explore.alas.aws.amazon.com/CVE-2026-12548.html
https://explore.alas.aws.amazon.com/CVE-2026-12549.html
https://explore.alas.aws.amazon.com/CVE-2026-66339.html
プラグインの詳細
深刻度: Medium
ID: 365254
ファイル名: al2023_ALAS2023-2026-3154.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/10/12
更新日: 2026/10/12
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.68
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 6.1
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS スコアのソース: CVE-2026-66339
CVSS v3
リスクファクター: Medium
基本値: 6.5
現状値: 5.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:libsoup-debuginfo, p-cpe:/a:amazon:linux:libsoup-debugsource, p-cpe:/a:amazon:linux:libsoup-devel, p-cpe:/a:amazon:linux:libsoup-doc, p-cpe:/a:amazon:linux:libsoup
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/10/12
脆弱性公開日: 2026/6/11
参照情報
CVE: CVE-2026-12478, CVE-2026-12547, CVE-2026-12548, CVE-2026-12549, CVE-2026-66339, CVE-2026-77014, CVE-2026-77680
IAVA: 2026-A-0555-S, 2026-A-0894